TheOpenWebApplicationSecurityProjectWEB应用程序安全评估091127内部讨论版郝轶haoyi@owasp.org.cnQQ群：956745282009年12月*WEB应用程序安全评估
方案
气瓶 现场处置方案 .pdf气瓶 现场处置方案 .doc见习基地管理方案.doc关于群访事件的化解方案建筑工地扬尘治理专项方案下载
工作
计划
项目进度计划表范例计划下载计划下载计划下载课程教学计划下载
评估对象：WEB应用程序覆盖内容：覆盖等级保护、SDLC相关要求计划进度：12月1日完成SDLC内容的整合12月10日完成WORD版《WEB应用程序安全评估方案初稿》评估方式：本方案目前以文档审阅、人员访谈、人工检查方式为主未来计划：完成含中间件、数据库管理系统、操作系统、网络、安全管理的《WEB应用安全评估方案》*什么是WEB应用WEB应用是指通过浏览器作为客户端，具有一定业务功能的BS应用系统，包括应用系统本身和应用系统所提供的服务。*什么是WEB应用程序评估WEB应用安全评估是指采用文档审阅、人员访谈、安全扫描、渗透测试、代码审计、应用检查等
方法
快递客服问题件处理详细方法山木方法pdf计算方法pdf华与华方法下载八字理论方法下载
，是全面深入地发现WEB应用系统在应用层的安全问
题
快递公司问题件快递公司问题件货款处理关于圆的周长面积重点题型关于解方程组的题及答案关于南海问题
的一种手段*WEB应用程序安全评估范围WEB应用系统包括以下内容：信息安全技术WEB应用程序中间件数据库管理系统操作系统网络信息安全管理应用相关
管理制度
档案管理制度下载食品安全管理制度下载三类维修管理制度下载财务管理制度免费下载安全设施管理制度下载
、规范和流程OWASPCHINA本方案的评估对象仅为：WEB应用程序*WEB应用程序安全评估方法WEB应用程序安全评估方法包括：系统外部文档审阅人员访谈安全扫描渗透测试系统内部人工检查代码审计*WEB应用程序安全评估内容*WEB应用程序身份鉴别身份验证是确定调用方身份的过程身份验证的主要威胁包括标识欺骗、密码破解、特权提升和未经授权的访问主要的安全措施包括：标识管理是否对用户账户进行了明确标识是否对用户标账户设置锁定策略是否变更第三方提供应用系统中默认用户的名称鉴别管理是否对对静态口令的格式和长度做出强制要求是否支持静态口令有效期是否提供登录失败处理功能是否在登录失败的提示信息中包含可利用信息是否在用户存储中存储密码会话管理是否对验证cookies及session有保护措施*WEB应用程序访问控制访问控制是授权确定已通过验证的标识可以执行哪些操作以及可以访问哪些资源。错误授权或弱授权会导致信息泄漏和数据篡改。深入防御是应用程序授权策略的关键安全原则访问控制的主要威胁包括非授权访问保密数据或受限数据、篡改数据以及执行未经授权的操作主要的安全措施包括：权限管理是否对访问主体和客体设定了有效的权限控制粒度是否对访问主体执行了权限最小原则是否修改了第三方应用程序的默认账户的访问权限标记管理是否对重要信息资源设置敏感标记后台访问是否对登录应用系统管理后台进行登录源限制是否应对后台地址进行增强复杂度处理*WEB应用程序安全审计安全审计是发现入侵迹象、不能验证用户操作，以及在诊断问题的有效手段安全审计的主要威胁包括审计进程被中断、审计记录被篡改主要的安全措施包括：审计范围是否提供覆盖到每个用户的安全审计功能，记录应用系统的重要安全相关事件，包括重要用户行为、系统资源的异常使用和重要系统功能的执行等审计内容是否审计记录的内容包括事件日期、时间、发起者信息、类型、描述和结果审计保护是否无法单独中断审计进程是否无法删除、修改或覆盖审计记录*WEB应用程序剩余信息保护剩余信息保护是对应用系统存在的有可能有价值的废弃信息进行保护的过程剩余信息的主要威胁包括搜索引擎HACK、敏感数据恢复主要的安全措施包括：鉴别信息是否对用户鉴别信息所在的存储空间被释放或再分配给其他用户前得到完全清除应用数据是否对系统内的文件、目录和数据库记录等资源所在的存储空间被释放或重新分配给其他用户前得到完全清除版权注释是否对版权信息、开发方信息、系统注释信息、调试信息进行保护*WEB应用程序完整性完整性是保证信息系统不会被非授权更改或破坏的特性完整性的主要威胁包括非授权的删除、篡改主要的安全措施包括：数据完整是否能检测到系统管理数据、鉴别信息和用户数据在传输和存储过程中完整性受破坏的情况，并在检测到完整性错误时采取必要的恢复措施系统完整是否应能够检测到重要程序的完整性受到破坏，并在检测到完整性错误时采取必要的恢复措施*WEB应用程序通信保密性保密性是数据所具有的特征，即表示数据所达到的未提供或未泄露给非授权的个人、过程或其他实体的程度通信保密性的主要威胁包括对数据在传输过程中进行的嗅探和监听活动主要的安全措施包括：鉴别信息是否在通信双方建立连接之前，对进行会话初始化信息进行加密应用数据是否应在通信过程中对应用数据进行加密*WEB应用程序抗抵赖抗抵赖是数据通信过程中对原发者和接收者提供数据传输证据的一种能力抗抵赖的主要威胁包括数据原发者或接收者对数据传送事实的否认主要的安全措施包括：原发证据是否具有在请求的情况下为数据的原发者或接收者提供数据原发证据的功能接收证据是否具有在请求的情况下为数据的原发者或接收者提供数据接收证据的功能*WEB应用程序软件容错软件容错是通过一系列内部处理措施，将软件所出现的错误消除掉，确保出错情况下信息系统安全子系统所提提供的安全功能的有效性和可用性软件容错的主要威胁包括SQL注入攻击、XSS跨站攻击等页面参数攻击主要的安全措施包括：输入验证是否输入验证在客户端和服务端一同完成是否提供数据有效性检验功能，保证通过人机接口输入或通过通信接口输入的数据格式和长度符合系统设定要求是否提供文件有效性检验功能，保证通过人机接口上传的文件格式和大小符合系统设定要求输出验证是否输出数据内容、格式和长度符合系统设定要求状态管理是否可以检测系统状态，在系统异常时报警，并具有一定的保护措施操作回退是否对重要操作是否提供操作回退功能*WEB应用程序资源控制资源控制是通过一系列内部处理措施，对系统资源进行调配以保障系统可用性的一种措施资源控制的主要威胁包括授权用户对资源的过分使用，和非授权用户对资源的恶意占用，如:DDOS攻击主要的安全措施包括：系统会话是否当应用系统的通信双方中的一方在一段时间内未作任何响应，另一方应能够自动结束会话是否能够对应用系统的最大并发会话连接数进行限制是否能够对单个账户的多重并发会话进行限制是否能够对一个时间段内可能的并发会话连接数进行限制账户进程是否能够对一个访问账户或一个请求进程占用的资源分配最大限额和最小限额系统服务是否能够对系统服务水平降低到预先规定的最小值进行检测和报警是否提供服务优先级设定功能，并在安装后根据安全策略设定访问账户或请求进程的优先级，根据优先级分配系统资源*QuestionsandAnswers
浙公网安备 33021202002483